Wordt u aangevallen?
Netwerkarchitectuur en segmentatie in productieomgevingen
Door Gert Eleveld, CTO
Dit artikel is van maart 2026, van voor de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026.
In veel productiebedrijven is het netwerk in de loop der jaren gegroeid. Er kwam een lijn bij, een locatie, een koppeling met het ERP of een externe verbinding voor de leverancier van een machine. Elke stap was op dat moment logisch. Het resultaat is vaak een netwerk waarin kantoor en productievloer meer met elkaar praten dan iemand weet.
Netwerkarchitectuur is de manier waarop u dat netwerk opbouwt: welke systemen met elkaar verbonden zijn, hoe verkeer van A naar B loopt en hoe het netwerk is opgedeeld in zones. In een fabriek bepaalt die opbouw hoe ver een probleem kan komen. Een besmette laptop op kantoor is vervelend. Kan diezelfde besmetting de besturing van uw lijn bereiken, dan staat de productie stil.
Waarom IT en OT gescheiden horen te zijn
IT en OT stellen verschillende eisen. Op kantoor installeert u updates zodra ze uitkomen en vervangt u een laptop na een paar jaar. Op de productievloer draait apparatuur vaak jaren door op software die niet meer wordt bijgewerkt. U kunt een productielijn niet even offline halen voor een patch.
Staan die twee werelden op één plat netwerk, dan bepaalt de zwakste schakel hoe veilig het geheel is. Ransomware die binnenkomt via een phishingmail kan zich dan verspreiden naar systemen die daar nooit op zijn ingericht. Wat begint bij één werkstation, kan eindigen bij de versleuteling van productiesystemen.
De eerste stap is daarom scheiding: een eigen netwerk voor de productieomgeving, met één gecontroleerde plek waar verkeer tussen kantoor en productie doorheen gaat. Op die plek bepaalt een firewall welk verkeer mag passeren.
.png)
Zones en doorgangen
Ook binnen de productieomgeving wilt u voorkomen dat elk systeem elk ander systeem kan bereiken. Daarom deelt u het netwerk op in zones: groepen systemen met dezelfde functie en hetzelfde beschermingsniveau. Denk aan een zone per productielijn, een zone voor klimaat- en gebouwbeheer, een zone voor de systemen die de productie aansturen en een aparte zone voor externe toegang.
Tussen de zones legt u doorgangen aan. Een doorgang is een vastgelegde verbinding tussen twee zones, met een firewall die alleen het verkeer doorlaat dat nodig is. De norm IEC 62443 noemt dit zones en conduits. U bepaalt vooraf welk verkeer mag. De rest wordt tegengehouden.
Een goede indeling begint bij een inventarisatie. Welke systemen staan er, met welke systemen praten ze en wie heeft er toegang? Daar komen vaak verbindingen uit die bij de installatie zijn aangelegd en daarna nooit meer zijn beoordeeld. Een klimaatsysteem op hetzelfde netwerk als de lijn, of een onderhoudsverbinding die ruimer openstaat dan nodig.
Segmenteren zonder de lijn stil te leggen
In een draaiende fabriek kan een regel die verkeer blokkeert dat toch nodig bleek, een lijn laten stoppen. Daarom begint segmentatie met kijken. U zet de firewall eerst zo dat hij verkeer registreert zonder het te blokkeren. Zo ziet u welke verbindingen er werkelijk zijn, voordat u regels afdwingt.
Daarna voert u de regels stap voor stap in, per zone, binnen de change windows en samen met de plant manager. Zo is er altijd een weg terug als een regel anders uitpakt dan verwacht.
.png)
Zero Trust als principe
Zero Trust gaat ervan uit dat geen apparaat, gebruiker of netwerksegment automatisch wordt vertrouwd, ook niet binnen de eigen organisatie. Toegang krijgt iemand op basis van wie hij is, vanaf welk apparaat hij werkt en waarvoor hij toegang nodig heeft.
In een productieomgeving is Zero Trust vooral een ontwerpprincipe. U past het toe in de keuzes die u maakt: strikte doorgangen tussen zones, beheerders die alleen bij de systemen kunnen die zij beheren en accounts die verdwijnen als iemand vertrekt. Veel OT-apparatuur kan zelf geen identiteit controleren. Daarom ligt die controle bij de doorgangen tussen de zones.
Meer achtergrond over Zero Trust vindt u bij het Nationaal Cyber Security Centrum.
ZTNA voor toegang op afstand
Zero Trust Network Access, kortweg ZTNA, is de techniek waarmee u het principe toepast op toegang van buitenaf. Een leverancier die op afstand een machine onderhoudt, of een engineer die buiten kantooruren inlogt, krijgt via ZTNA toegang tot precies het systeem dat nodig is en verder niets.
Bij een klassieke VPN-verbinding kan wie eenmaal binnen is vaak verder komen dan nodig. Met ZTNA ziet u wie inlogt, wanneer en op welk systeem, en verleent u toegang per sessie.
ZTNA is bedoeld voor toegang op afstand. Voor het verkeer tussen zones binnen de fabriek blijven segmentatie en firewalls het middel.
.png)
Zicht en beschikbaarheid
Een goed ingedeeld netwerk is ook beter te bewaken. Liggen de verkeersstromen per zone vast, dan valt afwijkend verkeer op. Detectie werkt beter op een netwerk waarvan u weet hoe normaal verkeer eruitziet.
Beschikbaarheid hoort bij hetzelfde ontwerp. Een productieomgeving moet blijven draaien bij een storing, een update of een defect onderdeel. Dubbel uitgevoerde firewalls en verbindingen horen daarom op de plekken waar de lijn van afhangt. Twee providers, maar één glasvezelkabel het pand in, dan heeft u twee facturen en nog steeds één kwetsbaar punt.
Wanneer u de architectuur opnieuw bekijkt
Een herbeoordeling is zinvol na een fusie of overname waarbij netwerken zijn samengevoegd, bij een nieuwe locatie of productielijn, als uw monitoring onvoldoende zicht geeft en na een incident waarbij een aanvaller zich te lang onopgemerkt kon verplaatsen.
Ook de komende Cyberbeveiligingswet is een aanleiding. Risicoanalyse en toegangsbeleid horen bij de zorgplicht, en segmentatie is een van de meest concrete maatregelen die daarbij past. Onder de wet keurt het bestuur de maatregelen goed en ziet het toe op de uitvoering. Bestuurders kunnen persoonlijk worden aangesproken als zij hun taken aantoonbaar laten liggen. Meer daarover leest u in ons artikel over bestuursaansprakelijkheid.
Hoe CyberPeak dit aanpakt
Wij beginnen met een inventarisatie van uw netwerk: welke systemen er staan, hoe ze verbonden zijn en wie er toegang heeft. Op basis daarvan ontwerpen wij de zones en doorgangen, en voeren wij de segmentatie gefaseerd in binnen uw change windows. Wij adviseren en voeren uit, en weten daardoor wat een architectuurkeuze betekent voor het dagelijks beheer.
Advies is vendoragnostisch, implementatie doen we op platforms waar we aantoonbaar diepgang hebben.
Uw netwerk in kaart
Wij helpen u te bepalen hoe u IT en OT scheidt zonder dat de lijn stilvalt. Plan een kennismaking van een half uur.
Veelgestelde vragen over netwerkarchitectuur
Wat is netwerkarchitectuur?
Netwerkarchitectuur is het ontwerp van een netwerk. Het bepaalt hoe systemen, gebruikers en apparaten met elkaar verbonden zijn, hoe verkeer wordt geleid en hoe het netwerk is opgedeeld in zones. In een productieomgeving bepaalt de architectuur hoe ver een probleem kan doorlopen.
Waarom moet ik IT en OT scheiden?
Omdat kantoor en productievloer verschillende eisen stellen. Op kantoor wordt snel gepatcht, op de productievloer draait apparatuur vaak jaren op software die niet meer wordt bijgewerkt. Zonder scheiding kan een besmetting op kantoor doorlopen naar uw productiesystemen.
Wat is het verschil tussen Zero Trust en ZTNA?
Zero Trust is een principe: niemand en niets wordt automatisch vertrouwd. ZTNA is een techniek die dat principe toepast op toegang op afstand, zodat een leverancier of medewerker van buitenaf alleen bij het systeem kan dat nodig is.
Wanneer moet ik mijn netwerkarchitectuur laten herzien?
Na een fusie of overname, bij een nieuwe locatie of productielijn, na een incident of als uw monitoring onvoldoende zicht geeft. Ook de zorgplicht uit de komende Cyberbeveiligingswet is een goede aanleiding om de indeling van uw netwerk te bekijken.
